ΕΛΛΗΝΙΚΗ ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΑΠΟΦΑΣΗ Αθήνα, 17-09-2013 Αριθ. Πρωτ.: Γ/ΕΞ/5899/17-09-2013 ΑΡ. 109/2013 Η Αρχή Προστασ ας ∆εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της σε έκτακτη συνεδρ αση στην έδρα της την 30-07-2013, σε συνέχεια της από 17-07-2013 έκτακτης συνεδρ ασής της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, Λ. Κοτσαλής, ∆. Μπριόλας, Α. Συµβώνης, ως εισηγητής, Π. Τσαντ λας και Κ. Χριστοδούλου, τακτικά µέλη, και το αναπληρωµατικό µέλος Γ. Λαζαράκος σε αντικατάσταση του τακτικού µέλους Α.-Ι. Μεταξά, ο οπο ος, αν και κλήθηκε νοµ µως εγγράφως, δεν παρέστη λόγω κωλύµατος. Στη συνεδρ αση, χωρ ς δικα ωµα ψήφου, παρέστησαν οι ειδικο επιστήµονες – υπάλληλοι του Τµήµατος Ελεγκτών Ε. Σιουγλέ, Ε. Ι. Τσακιρ δου, Ι. Λυκοτραφ της και Κ. Λιµνιώτης, ως βοηθο εισηγητές, και η Μ. Γιαννάκη, υπάλληλος του Τµήµατος ∆ιοικητικού – Οικονοµικού, ως γραµµατέας, µετά από εντολή του Προέδρου. Στην έκτακτη συνεδρ αση της 17-07-2013 και µετά από κλήση της Αρχής (Γ/ΕΞ/4601/08-07-2013) παρέστη ως εκπρόσωπος της Τράπεζας HSBC BANK PLC Ελλάδος ο Γεώργιος Βασαλάκης, δικηγόρος, και εξέφρασε τις απόψεις της ως άνω τράπεζας. Η Αρχή έλαβε υπόψη τα παρακάτω: Η Αρχή πραγµατοπο ησε στις 29 Νοεµβρ ου 2012 επιτόπιο διοικητικό έλεγχο στην Τράπεζα HSBC BANK PLC Ελλάδος (εφεξής «υπεύθυνος επεξεργασ ας»), σύµφωνα µε το άρθρο 19 στοιχ. η΄ του ν. 2472/1997. Ο έλεγχος πραγµατοποιήθηκε στις εγκαταστάσεις του Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 1 υπευθύνου επεξεργασ ας, στη διεύθυνση Λεωφ. Μεσογε ων 109-111, 115 26 Αθήνα, από τους υπαλλήλους του Τµήµατος Ελεγκτών Ε. Σιουγλέ, Ε. Ι. Τσακιρ δου, Ι. Λυκοτραφ τη και Κ. Λιµνιώτη (εφεξής «οµάδα ελέγχου»), µετά από την υπ’ αριθ. πρωτ. Γ/ΕΞ/7669/28-112012 εντολή του Προέδρου της Αρχής. Ο έλεγχος ήταν αυτεπάγγελτος και πραγµατοποιήθηκε κατόπιν διοικητικού έλεγχου της Αρχής στην εταιρε α µε την επωνυµ α ΡΑΝΝΕΡ ΣΥΛΛΟΓΗΣ & ∆ΙΑΧΕΙΡΙΣΗΣ ΠΛΗΡΟΦΟΡΙΩΝ ΕΠΕ και µε διακριτικό τ τλο Runner ΕΠΕ (εφεξής Runner) και των στοιχε ων που προέκυψαν. Συγκεκριµένα, στον ως άνω έλεγχο στην εταιρε α Runner: α) συνελέγησαν ως πειστήρια φωτογραφ ες από τρ α
(3)τιµολόγια στα οπο α αναφέρεται η πώληση αρχε ου εµπορικού και οικονοµικού ενδιαφέροντος από τη Runner στον υπεύθυνο επεξεργασ ας, αξ ας 677,73 €, 2.479,68 € και 6.998,70 € αντ στοιχα (Πειστήριο µε κωδικό Π30 για τον έλεγχο της Runner: Γ/ΕΙΣ/7858/06-12-2012), β) συνελέγη ως πειστήριο αντ γραφο σκληρού δ σκου, από την ψηφιακή ανάλυση του οπο ου ανακτήθηκαν τµήµατα µηνυµάτων ηλεκτρονικού ταχυδροµε ου, τα οπο α ε χαν ανταλλαγε µεταξύ υπαλλήλων του υπευθύνου επεξεργασ ας και της Runner, και από τα οπο α προκύπτει ύπαρξη εµπορικών συναλλαγών µεταξύ του υπεύθυνου επεξεργασ ας και της Runner (Πειστήριο µε κωδικό Π13 για τον έλεγχο της Runner: Γ/ΕΙΣ/7858/06-12-2012). Ο υπεύθυνος επεξεργασ ας ε χε υποβάλει στην Αρχή το ιδιωτικό συµφωνητικό συνεργασ ας που ε χε συνάψει µε τη Runner (Γ/ΕΙΣ/6872/18-10-06). Όπως αναφέρεται σε αυτό, η Runner αναλαµβάνει να διαβιβάσει στον υπεύθυνο επεξεργασ ας αρχε α προσωπικών δεδοµένων, προς επ τευξη του σκοπού της προώθησης προϊόντων ή υπηρεσιών για τρ τους δυνητικούς πελάτες του υπευθύνου. Η εν λόγω σύµβαση θα ήταν σε ισχύ για το διάστηµα 16/10/2006 – 31/10/2007, και θα ανανεωνόταν αυτόµατα για ένα
(1)έτος τη φορά, εφόσον οποιοδήποτε εκ των συµβαλλόµενων µερών δεν την κατήγγειλε τρεις µήνες πριν τη λήξη της. Ο έλεγχος έγινε χωρ ς προηγούµενη ενηµέρωση του υπεύθυνου επεξεργασ ας. Η οµάδα ελέγχου συνοµ λησε µε υπαλλήλους του υπεύθυνου επεξεργασ ας και στη συνέχεια διενήργησε επιτόπιο τεχνικό έλεγχο σε ηλεκτρονικούς υπολογιστές υπαλλήλων του υπευθύνου επεξεργασ ας. Στο πλα σιο αυτό η οµάδα ελέγχου συνέλεξε ηλεκτρονικά και έντυπα πειστήρια. Η λ στα των πειστηρ ων εκτυπώθηκε σε δύο
(2)αντ γραφα, υπογράφηκε από την οµάδα ελέγχου, καθώς και από εκπρόσωπο του υπευθύνου επεξεργασ ας και πρωτοκολλήθηκε µε αριθ. πρωτ. Γ/ΕΙΣ/7733/30-11-2012. Για τη διασφάλιση της ακεραιότητας των ηλεκτρονικών πειστηρ ων εφαρµόστηκε αλγόριθµος κατακερµατισµού (MD5 hash) µε χρήση κατάλληλου λογισµικού. Επ σης, στο πλα σιο του ελέγχου, ελέχθη από εκπροσώπους του υπευθύνου επεξεργασ ας Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 2 ότι αντ γραφα παλαιότερων µηνυµάτων ηλεκτρονικού ταχυδροµε ου που εστάλησαν από ή προς τους υπαλλήλους του τηρούνται (e-mail archive) στην πληροφοριακή υποδοµή της Τράπεζας HSBC στην Αγγλ α για διάστηµα ε κοσι
(20)ετών και ότι στην Ελλάδα δεν υπάρχει κανένας εξυπηρετητής (ούτε replication ούτε mail relay server). Περαιτέρω, αναφέρθηκε στην οµάδα ελέγχου ότι για να ληφθε αντ γραφο κάποιου ηλεκτρονικού µηνύµατος από το e-mail archive που βρ σκεται στην Αγγλ α, θα πρέπει να σταλε σχετική α τηση στην Αγγλ α, προσδιορ ζοντας τις λέξεις-κλειδιά βάσει των οπο ων θα γ νει η αναζήτηση. Λόγω αυτού, ζητήθηκε από την οµάδα ελέγχου να αποσταλε σχετικό α τηµα από τον υπεύθυνο επεξεργασ ας – βάσει συγκεκριµένων κριτηρ ων ως προς τη λέξη «runner» - για την εύρεση όλων των ηλεκτρονικών µηνυµάτων που ενδεχοµένως έστειλαν ή έλαβαν υπάλληλοι της εταιρε ας και αφορούν την Runner. Η απάντηση στο α τηµα δεν ελήφθη την ηµέρα του ελέγχου, ενώ κατόπιν µεταγενέστερων τηλεφωνικών επικοινωνιών της οµάδας ελέγχου µε εκπρόσωπο του υπεύθυνου επεξεργασ ας, το σχετικό α τηµα προς την Αγγλ α συγκεκριµενοποιήθηκε περαιτέρω, βάσει και των ηλεκτρονικών διευθύνσεων συγκεκριµένων υπαλλήλων του υπευθύνου επεξεργασ ας. Τα αποτελέσµατα της ως άνω αναζήτησης υποβλήθηκαν στην Αρχή, µε αποστολή κρυπτογραφηµένου ψηφιακού δ σκου (CD), µε αριθ. πρωτ. Γ/ΕΙΣ/7961/11-12-
- Μετά από την ολοκλήρωση του επιτόπιου ελέγχου και τη λήψη του ανωτέρω ψηφιακού δ σκου, η οµάδα ελέγχου συνέταξε τα Πρακτικά του ελέγχου (εφεξής «Πρακτικά»), στα οπο α καταγράφονται οι απαντήσεις/διευκρινήσεις του υπεύθυνου επεξεργασ ας, καθώς και οι επιτόπιες παρατηρήσεις της οµάδας ελέγχου. Τα Πρακτικά εστάλησαν στον υπεύθυνο επεξεργασ ας µε το υπ’ αριθ. πρωτ. Γ/ΕΞ/961/12-02-2013 έγγραφο, για υποβολή σχολ ων ή/και παρατηρήσεων. Με το διο έγγραφο ζητήθηκαν από τον υπεύθυνο επεξεργασ ας διευκριν σεις αναφορικά µε το γεγονός ότι κάποια εκ των ηλεκτρονικών µηνυµάτων που συνελέγησαν κατά τον έλεγχο δεν ευρέθησαν µε την αναζήτηση στο e-mail archive της Αγγλ ας, παρόλο που πληρούσαν τα κριτήρια αναζήτησης. Ο υπεύθυνος επεξεργασ ας απήντησε µε το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1455/27-02-2013 έγγραφο. Έπειτα, τα Πρακτικά οριστικοποιήθηκαν και απεστάλησαν στον υπεύθυνο επεξεργασ ας (Γ/ΕΞ/1455-1/02-042013). Εν συνεχε α, η οµάδα ελέγχου µελέτησε τα Πρακτικά, πραγµατοπο ησε ανάλυση των ψηφιακών πειστηρ ων που ε χαν συλλεχθε κατά τον έλεγχο, και υπέβαλε στην Αρχή το µε αριθ. πρωτ. Γ/ΕΙΣ/4574/08-07-2013 Πόρισµα στο οπο ο αναφέρονται τα ευρήµατα του ελέγχου. Στο διο πόρισµα αναφέρονται και τα σχετικά ευρήµατα που προέκυψαν από την ανάλυση των ψηφιακών πειστηρ ων που συνελέγησαν κατά τον προγενέστερο έλεγχο στη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 3 Runner και τα οπο α σχετ ζονται µε την εξεταζόµενη υπόθεση. Με βάση τα ευρήµατα που αναφέρονται στο ως άνω πόρισµα, ο υπεύθυνος επεξεργασ ας αγόραζε, κατά το διάστηµα από το 2007 µέχρι και το 2011, λ στες προσωπικών δεδοµένων από την Runner (το ότι πραγµατοποιήθηκε αγορά λιστών προκύπτει, πέρα από το περιεχόµενο σχετικών µηνυµάτων ηλεκτρονικού ταχυδροµε ου µεταξύ του υπευθύνου επεξεργασ ας και της Runner, και από την ύπαρξη τιµολογ ων αναφορικά µε πώληση αρχε ων εµπορικού και οικονοµικού ενδιαφέροντος από τη Runner στον υπεύθυνο επεξεργασ ας). Στις λ στες που συνελέγησαν περιέχονται ονοµατεπώνυµα, Αριθµο Φορολογικού Μητρώου (ΑΦΜ), ταχυδροµικές διευθύνσεις, τηλέφωνα και επαγγέλµατα (η µεγαλύτερη εκ των λιστών που βρέθηκαν περιέχει 52.864 καταχωρήσεις). Όπως προκύπτει από τα ηλεκτρονικά µηνύµατα που συνελέγησαν, τα αιτήµατα του υπεύθυνου επεξεργασ ας προς τη Runner για αγορά λιστών µε προσωπικά δεδοµένα αφορούσαν φυσικά πρόσωπα που ικανοποιούσαν συγκεκριµένα κριτήρια – όπως κριτήρια βάσει εισοδήµατος, επαγγέλµατος, ηλικ ας, φύλου, οικογενειακής κατάστασης, κατοχής αυτοκινήτου συγκεκριµένης µάρκας, στεγαστικού δανε ου. Ενδεικτικά αναφέρεται τµήµα ενός τέτοιου µηνύµατος (βλ. Π13.22 του Παραρτήµατος Γ του πορ σµατος ελέγχου): «Αγαπητ A, Σε συν χεια της τηλεφωνικής µας επικοινωνίας σας ζητούµε να µας ετοιµάσετε προσφορά και αρχείο για επικοινωνία µ σω τηλεφώνου µε τις παρακάτω προδιαγραφ ς: κάτοχοι στεγαστικού δανείου οι οποίοι θα εντοπιστούν από τους τόκους (…) στο εκκαθαριστικό της εφορίας - µε ετήσιο οικογενειακό εισόδηµα από 25.000 µ χρι 80.000 Ευρώ - κάτοικοι νοµού Αττικής Στη λίστα να αναγράφονται όλα τα στοιχεία επικοινωνίας, το εισόδηµα, το επάγγελµα και το ΑΦΜ των δυνητικών πελατών. Με βάση τις προδιαγραφ ς αυτ ς όπως συζητήσαµε αναµ νουµε ότι το µ γεθος του αρχείου θα πλησιάζει τα 27.000 records (…). Επίσης, δεδοµ νου ότι η λίστα αυτή θα χρησιµοποιηθεί για τηλεφωνική επικοινωνία, µας ενδιαφ ρουν ονόµατα που χουν και διαθ σιµο τηλ φωνο (…). Ευχαριστώ, Β». Ιδια τερα σηµειώνεται ότι ο υπεύθυνος επεξεργασ ας σε διάφορα µηνύµατά του προς την Runner της ζητά οι λ στες να προκύπτουν µε βάση τα προαναφερόµενα κριτήρια (εισόδηµα, στεγαστικά δάνεια, τόκοι αυτών) επισηµα νοντας ότι οι πληροφορ ες αυτές µπορούν να αναζητηθούν από το εκκαθαριστικό της εφορ ας ή οπουδήποτε αλλού (βλ. Π13.8, Π13.9, Π13.10, Π13.21, Π13.22, Παράρτηµα Γ του πορ σµατος του ελέγχου). Επισηµα νεται, επ σης, ότι σε µήνυµα ηλεκτρονικού ταχυδροµε ου µεταξύ υπαλλήλων του υπευθύνου επεξεργασ ας, υπάρχει επισυναπτόµενο αρχε ο µε προσωπικά δεδοµένα, µε όνοµα LIST RUNNER.xls.zip (Πειστήριο Π1.1, Παράρτηµα Β του πορ σµατος ελέγχου). Στο περιεχόµενο του µηνύµατος αναφέρεται αφενός ότι τις επόµενες ηµέρες επ κειται η λήψη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 4 δεύτερης λ στας από άλλον προµηθευτή και αφετέρου ότι το σύνολο της λ στας «έχει περάσει από Τειρεσ α», γεγονός που υποδηλώνει ότι πραγµατοποιήθηκε κάποιου ε δους αντιπαραβολή µε τη βάση δεδοµένων του Τειρεσ α. Το επισυναπτόµενο αρχε ο περιέχει 52.864 καταχωρήσεις, όπου για κάθε καταχώρηση αναγράφεται ονοµατεπώνυµο, Αριθµός Φορολογικού Μητρώου (ΑΦΜ), ταχυδροµική διεύθυνση, τηλέφωνο και το επάγγελµα. Σε κάποια µηνύµατα ηλεκτρονικού ταχυδροµε ου αναφέρεται ρητά ότι οι λ στες θα χρησιµοποιηθούν για τηλεφωνική επικοινων α (βλ. Π13.8, Π13.17, Π13.22, Παράρτηµα Γ του πορ σµατος ελέγχου), ενώ σε άλλα για αποστολή σχετικής επιστολής (βλ. Π13.9, Π13.14, Π13.16, Παράρτηµα Γ του πορ σµατος ελέγχου). Από το περιεχόµενο πολλών µηνυµάτων προκύπτει ότι ο υπεύθυνος επεξεργασ ας επιθυµούσε τη συλλογή λιστών µε προσωπικά στοιχε α προσώπων που ήταν δυνητικο και µόνο πελάτες του (βλ. Π13.8, Π13.9, Π13.10, Π13.16, Π13.21 και Π13.22 του Παραρτήµατος Γ του πορ σµατος ελέγχου, στα οπο α γ νεται αναφορά για υποψήφιους πελάτες) – κάτι το οπο ο άλλωστε ε ναι και σε συνάφεια µε τα όσα αναφέρονται στη σύµβαση του υπευθύνου επεξεργασ ας µε τη Runner. Στην πλειοψηφ α των ανωτέρω µηνυµάτων ηλεκτρονικού ταχυδροµε ου αναφέρεται, από υπαλλήλους του υπευθύνου επεξεργασ ας, ότι τα στοιχε α των σχετικών λιστών πρέπει να «ε ναι δηµοσιοποιηµένα και να έχουν περάσει από τη λ στα ∆αφέρµου» - µ α διατύπωση από την οπο α προκύπτει ότι ο υπεύθυνος επεξεργασ ας δεν επιθυµούσε να επικοινωνήσει µε άτοµα τα οπο α ε χαν εγγραφε στο σχετικό µητρώο που τηρε η Αρχή σύµφωνα µε τα οριζόµενα στο άρθρο 13 παρ. 3 του ν. 2472/
- Περαιτέρω, κατά την ανάλυση των ηλεκτρονικών πειστηρ ων που συνελέγησαν κατά τον επιτόπιο έλεγχο στις εγκαταστάσεις του υπευθύνου επεξεργασ ας, προκύπτει συνεργασ α αυτού και µε την Ανώνυµη ∆ιαφηµιστική Εταιρε α ATTP (εφεξής ΑΤΤΡ) για την αγορά λιστών µε προσωπικά δεδοµένα. Ειδικότερα, ανευρέθηκαν δύο µηνύµατα ηλεκτρονικού ταχυδροµε ου µεταξύ υπαλλήλων του υπευθύνου επεξεργασ ας και της ATTP, στα οπο α γ νεται αναφορά σε αρχε ο µε προσωπικά δεδοµένα που αποστέλλεται από την εταιρε α στον υπεύθυνο επεξεργασ ας. Στο ένα µήνυµα υπάρχει επισυναπτόµενο αρχε ο το οπο ο περιέχει 365 καταχωρήσεις, όπου για την κάθε καταχώρηση αναγράφεται το ονοµατεπώνυµο, ο Αριθµός Φορολογικού Μητρώου (ΑΦΜ), o Αριθµός Φορολογικού Μητρώου συζύγου, ο αριθµός ταυτότητας, το πατρώνυµο, το µητρώνυµο, η ταχυδροµική διεύθυνση, το τηλέφωνο (κινητό και σταθερό) καθώς και εισοδήµατα (πεδ α «income_y» και «income_s», που υποδηλώνουν εισόδηµα υπόχρεου και εισόδηµα συζύγου αντ στοιχα, ενώ εµφαν ζεται και το άθροισµα αυτών των εισοδηµάτων). Η ταχυδροµική διεύθυνση εµφαν ζεται, για την κάθε Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 5 καταχώρηση, σε δύο διαφορετικά πεδ α, όπου το δεύτερο έχει διαφορετικό χρώµα (κ τρινο) και την ένδειξη «OTE» - κάτι που υποδηλώνει ότι η πηγή αυτών ε ναι κάποιος κατάλογος του ΟΤΕ (οπότε, για τα υπόλοιπα πεδ α, ακόµα και για εκε να που υπάρχουν σε δηµόσιο κατάλογο του ΟΤΕ, η πηγή προκύπτει πως ε ναι διαφορετική). Στο δεύτερο µήνυµα γ νεται αναφορά στο κοστολόγιο της λ στας, καθώς επ σης και ότι αφορά σε πρόσωπα µε συνολικό εισόδηµα άνω των 60.000 €. Στο µήνυµα επ σης αναφέρεται ότι έχει γ νει «εκκαθάριση από Τειρεσία και αρχή προστασίας δεδοµ νων» (Πειστήριο Π.11, Παράρτηµα Β του πορ σµατος του ελέγχου). Κατόπιν αυτού του ευρήµατος, και ενώ ήταν σε εξέλιξη η περαιτέρω ανάλυση των πειστηρ ων του ελέγχου, πραγµατοποιήθηκε στις 19-12-2012 αυτεπάγγελτος διοικητικός έλεγχος στις εγκαταστάσεις της ΑΤΤΡ, στη διεύθυνση Τζαφέρη 16, Τ.Κ. 118 54, Γκάζι, µετά από την µε αριθ. πρωτ. Γ/ΕΞ/8053/14-12-2012 εντολή του Προέδρου της Αρχής. Σύµφωνα µε όσα δήλωσαν οι εκπρόσωποι της εν λόγω εταιρε ας κατά τον επιτόπιο έλεγχο και µετά από την ανάλυση των ηλεκτρονικών πειστηρ ων του ελέγχου (τα οπο α αναλυτικώς παρατ θενται στο υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4411/01-07-2013 πόρισµα του ελέγχου), η ATTP διακ νησε αρχε α προσωπικών δεδοµένων µεταξύ της HSBC και τρ της εταιρε ας µε την επωνυµ α «Φουλφ λ Μονοπρόσωπη Ε.Π.Ε. − Μονοπρόσωπη Εταιρε α Περιορισµένης Ευθύνης παροχής υπηρεσιών, προώθησης εµπορ ας και διαφήµισης προϊόντων και επιχειρήσεων − FULFILL L.T.D» (εφεξής FULFILL). Η HSBC αποτελούσε έναν από τους σηµαντικότερους πελάτες της ATTP. Συγκεκριµένα, η ATTP ανταποκρ θηκε σε α τηµα της HSBC για την παροχή αρχε ων µε προσωπικά δεδοµένα πολιτών, βάσει συγκεκριµένων κριτηρ ων, τα οπο α προµηθεύτηκε από την FULFILL, η οπο α δραστηριοποιε το στην εµπορ α αρχε ων οικονοµικού και εµπορικού ενδιαφέροντος. Η ΑΤΤP προσέφερε έναντι χαµηλής αµοιβής την υπηρεσ α αυτή στην HSBC. Ειδικότερα, η HSBC καθόρισε τις απαιτήσεις και τα κριτήρια σχετικά µε το περιεχόµενο των λιστών µε προσωπικά δεδοµένα που ενδιαφερόταν να αγοράσει. Το α τηµα αφορούσε σε άτοµα συγκεκριµένου προφ λ, τα οπο α θα ήταν υποψήφιοι πελάτες της HSBC για την προωθητική καµπάνια τραπεζικής υπηρεσ ας. Το προφ λ περιλαµβάνει µεταξύ άλλων προσδιορισµούς του φύλου, της ηλικ ας και του εισοδήµατος των υποψηφ ων πελατών. Τα αρχε α περιε χαν διάφορα προσωπικά δεδοµένα φυσικών προσώπων, όπως επώνυµο, όνοµα, όνοµα πατρός, επώνυµο πατρός, όνοµα µητρός, επώνυµο µητρός, ηµεροµην α γέννησης, φύλο, εθνικότητα, ΑΦΜ, ΑΦΜ συζύγου, κωδικός ∆ΟΥ, αριθµός δελτ ου ΑΤ, οδός, Αριθµός, ΤΚ, πόλη, νοµός, τηλέφωνο, εισόδηµα, εισόδηµα συζύγου, συνολικό εισόδηµα, επάγγελµα. Η Τράπεζα HSBC BANK PLC Ελλάδος κλήθηκε, όπως προαναφέρθηκε (µε την υπ’ Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 6 αριθ. πρωτ. Γ/ΕΞ/4601/08-07-2013 κλήση), νοµ µως σε ακρόαση ενώπιον της Αρχής στη συνεδρ αση της 17-07-2013 για να δώσει περαιτέρω διευκριν σεις και να εκθέσει διεξοδικά τις απόψεις της. Μαζ µε την κλήση, της επιδόθηκε το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4574/08-072013 πόρισµα του ελέγχου, καθώς επ σης και το σχετικό απόσπασµα από τη λ στα πειστηρ ων του υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4411/01-07-2013 πορ σµατος του ελέγχου στην ATTP. Στη συνεδρ αση της Αρχής, την 17-07-2013, παρέστη νοµ µως, ως εκπρόσωπος του υπευθύνου επεξεργασ ας, ο Γεώργιος Βασαλάκης, δικηγόρος. Κατά την ακρόαση, ο ως άνω εκπρόσωπος εξέθεσε προφορικά τις απόψεις του υπευθύνου επεξεργασ ας, ενώ ζήτησε και έλαβε προθεσµ α για την υποβολή υποµνήµατος. Κατόπιν της ακρόασης, ο υπεύθυνος επεξεργασ ας κατέθεσε εµπροθέσµως σχετικό υπόµνηµα (Γ/ΕΙΣ/4969/24-07-2013), εκθέτοντας και εγγράφως τις απόψεις του. Η Αρχή, µετά από εξέταση των προαναφεροµένων στοιχε ων, αφού αναγνώστηκαν τα πρακτικά της συνεδρ ασης της 17-07-2013, άκουσε τον εισηγητή και τους βοηθούς εισηγητές. Οι τελευτα οι αποχώρησαν πριν τη διάσκεψη. Η Αρχή κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
- Κατά το άρθρο 4 παρ. 1 στοιχ. α΄ του ν. 2472/1997 «τα δεδοµ να προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασίας πρ πει να συλλ γονται κατά τρόπο θεµιτό και νόµιµο για καθορισµ νους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών». Επ σης, το διο άρθρο (στοιχ. β΄ της διας παρ.) ορ ζει ότι τα δεδοµένα πρέπει να ε ναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτε ται εν όψει των σκοπών επεξεργασ ας (αρχή της αναλογικότητας).
- Περαιτέρω, σύµφωνα µε το άρθρο 5 παρ. 1 του ν. 2472/1997, η επεξεργασ α δεδοµένων προσωπικού χαρακτήρα επιτρέπεται µόνον όταν το υποκε µενο έχει δώσει τη συγκατάθεσή του, εκτός εάν συντρέχει µ α από τις προβλεπόµενες από την παράγραφο 2 του ιδ ου άρθρου εξαιρέσεις, οπότε ε ναι νόµιµη η επεξεργασ α και χωρ ς τη συγκατάθεση του υποκειµένου. Σηµειώνεται ότι, κατά το άρθρο 2 στοιχ. ια΄ του ν. 2472/1997, ως συγκατάθεση νοε ται «κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως που εκφράζεται µε τρόπο σαφή, και εν πλήρη επίγνωση, και µε την οποία, το υποκείµενο των δεδοµ νων, αφού προηγουµ νως ενηµερωθεί, δ χεται να αποτελ σουν αντικείµενο της επεξεργασίας τα δεδοµ να προσωπικού Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 7 χαρακτήρα που το αφορούν. …». Εξάλλου, σύµφωνα µε τη διάταξη του άρθρου 5 παρ. 2 στοιχ. ε΄ του ν. 2472/1997, κατ’ εξα ρεση επιτρέπεται η επεξεργασ α και χωρ ς συγκατάθεση όταν: «η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του ννοµου συµφ ροντος που επιδιώκει ο υπεύθυνος επεξεργασίας (…), και υπό τον όρο ότι τούτο υπερ χει προφανώς των δικαιωµάτων και συµφερόντων των προσώπων στα οποία αναφ ρονται τα δεδοµ να και δεν θίγονται οι θεµελιώδεις ελευθερίες αυτών».
- Ειδικότερα, αναφορικά µε τους όρους για την νόµιµη επεξεργασ α δεδοµένων προσωπικού χαρακτήρα για σκοπούς της άµεσης εµπορ ας ή διαφήµισης, η µε αριθ. 26/2004 Απόφαση της Αρχής (ΦΕΚ Β΄/684/11-5-2004, µε την οπο α επαναλήφθηκε η µε αριθ. 50/201-2000 Απόφαση της Αρχής που δεν ε χε δηµοσιευθε στην Εφηµερ δα της Κυβερνήσεως) ορ ζει ότι: «Θεωρείται νόµιµη η συλλογή δεδοµ νων για σκοπούς απευθείας διαφήµισης και απευθείας προώθησης πωλήσεων προϊόντων ή υπηρεσιών σύµφωνα µε το άρθρο 4 παρ. 1 εδ. α του Ν. 2472/97 είτε γίνεται εξ επαγγ λµατος είτε όχι (στην δεύτερη περίπτωση µόνον για προώθηση ή διαφήµιση ιδίων προϊόντων ή υπηρεσιών), υπό τις εξής προϋποθ σεις: I) Το υποκείµενο δωσε τη συγκατάθεσή του σύµφωνα µε τα άρ. 2 εδ.ια) και 5 παρ.1 του Ν. 2472/
- Η συγκατάθεση είναι απαραίτητη στις περιπτώσεις της ρευνας καταναλωτικής συµπεριφοράς µε σκοπό την άµεση ή µµεση διαφήµιση προϊόντων η την παροχή υπηρεσιών. II) Το υποκείµενο δεν χει δώσει την συγκατάθεσή του οπότε η επεξεργασία είναι νόµιµη κατ’ εξαίρεση σύµφωνα µε το Άρθρο 5 παρ.2, εδ. ε, διότι α) είναι απολύτως αναγκαία για την ικανοποίηση τού εννόµου συµφ ροντος πού επιδιώκει ο υπεύθυνος επεξεργασίας β) το ννοµο συµφ ρον αυτού υπερ χει προφανώς του συµφ ροντος του υποκειµ νου, ενόψει του ότι τα συµφ ροντα των υποκειµ νων των δεδοµ νων των οποίων επιτρ πεται η επεξεργασία (βλ. παρακ. υπό ΙΙΙ.3) δεν θίγονται ουσιωδώς, δηλαδή δεν θίγονται σε τ τοιο βαθµό, ώστε να δικαιολογείται η απαγόρευση των εν θ µατι δραστηριοτήτων και γ) πάντως δεν θίγονται οι θεµελιώδεις ελευθερίες του υποκειµ νου. (…) III) Για να γίνει χρήση της εξαίρεσης του αρ.5 παρ.2 εδ. ε πρ πει να συντρ χουν οι εξής προϋποθ σεις: 1) τα δεδοµ να να προ ρχονται από καταλόγους πού απευθύνονται στο ευρύ κοινό (π.χ. τηλεφωνικός κατάλογος του ΟΤΕ) και να υπάρχει η βεβαιότητα ότι τα υποκείµενα που χουν συµπεριληφθεί σε αυτόν χουν δώσει την συγκατάθεσή τους, ή από πηγ ς δηµόσια προσβάσιµες που προορίζονται για την παροχή πληροφοριών στο ευρύ κοινό, εφόσον στην συγκεκριµ νη περίπτωση χουν τηρηθεί οι νόµιµες προϋποθ σεις για την πρόσβαση σ’ αυτ ς, ή το ίδιο το Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 8 υποκείµενο να δηµοσιοποίησε τα προσωπικά του δεδοµ να για συναφείς σκοπούς (π.χ διανοµή διαφηµιστικών φυλλαδίων, συµµετοχή σε καταλόγους εµπορικών εκθ σεων κλπ). (…) 3) Ο υπεύθυνος επεξεργασίας να περιορίζεται στα απολύτως αναγκαία δεδοµ να για την επίτευξη του συγκεκριµ νου σκοπού. Ως τ τοια θεωρούνται µόνο το ονοµατεπώνυµο, η διεύθυνση και το επάγγελµα. (…)».
- Σύµφωνα µε την παρ. 1 του άρθρου 11 του ν. 3471/2006, όπως τροποποιήθηκε µε το ν. 3917/2011, «η χρησιµοποίηση αυτόµατων συστηµάτων κλήσης, ιδίως µε χρήση συσκευών τηλεοµοιοτυπίας (φαξ) ή ηλεκτρονικού ταχυδροµείου, και γενικότερα η πραγµατοποίηση µη ζητηθεισών επικοινωνιών µε οποιοδήποτε µ σο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρ µβαση, για σκοπούς απευθείας εµπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφηµιστικούς σκοπούς, επιτρ πεται µόνο αν ο συνδροµητής συγκατατεθεί εκ των προτ ρων ρητώς». Σύµφωνα µε την παρ. 2 του άρθρου 11 του ν. 3471/2006, όπως τροποποιήθηκε µε το ν. 3917/2011, «δεν επιτρ πεται η πραγµατοποίηση µη ζητηθεισών επικοινωνιών µε ανθρώπινη παρ µβαση (κλήσεων) για τους ανωτ ρω σκοπούς, εφόσον ο συνδροµητής χει δηλώσει προς τον φορ α παροχής της διαθ σιµης στο κοινό υπηρεσίας, ότι δεν επιθυµεί γενικώς να δ χεται τ τοιες κλήσεις. Ο φορ ας υποχρεούται να καταχωρίζει δωρεάν τις δηλώσεις αυτ ς σε ειδικό κατάλογο συνδροµητών, ο οποίος είναι στη διάθεση κάθε ενδιαφεροµ νου». Σηµειώνεται ότι, πριν την τροποπο ηση του ν. 3471/2006 που έλαβε χώρα µε το ν. 3917/2011, για την πραγµατοπο ηση µη ζητηθεισών κλήσεων για τους ανωτέρω σκοπούς ήταν, κατ’ αρχήν, υποχρεωτική η προηγούµενη λήψη της συγκατάθεσης του καλούµενου (σύστηµα «opt-in»). Πλέον, µετά την ανωτέρω τροποπο ηση, οι φορε ς που επιθυµούν να πραγµατοποιούν προωθητικές ενέργειες, µπορούν να πραγµατοποιούν µη ζητηθε σες κλήσεις µε ανθρώπινη παρέµβαση, εφόσον ο καλούµενος δεν έχει δηλώσει στον πάροχό του ότι δεν επιθυµε να δέχεται τέτοιες κλήσεις (σύστηµα «opt-out»).
- Κατά το άρθρο 10 παρ. 2 του ν. 3471/2006 «τα περιεχόµενα στους ντυπους ή ηλεκτρονικούς καταλόγους συνδροµητών [τηλεπικοινωνιακών υπηρεσιών] δεδοµ να προσωπικού χαρακτήρα, τα οποία βρίσκονται στη διάθεση του κοινού ή µπορούν να ληφθούν µ σω των υπηρεσιών πληροφοριών καταλόγου, πρ πει να περιορίζονται στα απαραίτητα για την αναγνώριση της ταυτότητας συγκεκριµ νου συνδροµητή (όνοµα, επώνυµο, πατρώνυµο, διεύθυνση), εκτός εάν ο συνδροµητής χει δώσει τη ρητή συγκατάθεση του για τη δηµοσίευση συµπληρωµατικών δεδοµ νων προσωπικού χαρακτήρα». Αντ στοιχη πρόβλεψη υπάρχει και στο άρθρο 5 παρ. 3 του Κανονισµού της Εθνικής Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 9 Επιτροπής Τηλεπικοινωνιών και Ταχυδροµε ων (ΕΕΤΤ) για τον καθορισµό της µορφής των καταλόγων συνδροµητών, Απόφαση 491/026/2008 (ΦΕΚ Β΄/1622/13-8-2008), όπου ορ ζεται ότι «τα στοιχεία των συνδροµητών που καταχωρούνται στον κατάλογο, ατελώς για τους συνδροµητ ς, περιορίζονται στα απαραίτητα για την αναγνώριση της ταυτότητας συγκεκριµ νου συνδροµητή και συνίστανται σε: α. Επώνυµο, β. Όνοµα, γ. Πατρώνυµο, δ. ∆ιεύθυνση. Λοιπά στοιχεία, όπως το επάγγελµα, οι διευθύνσεις ηλεκτρονικού ταχυδροµείου καθώς και προσωπικών ιστοσελίδων, δύναται να περιλαµβάνονται στον κατάλογο, ατελώς για το συνδροµητή και κατόπιν υποβολής σχετικού αιτήµατός του, σύµφωνα µε τις διατάξεις της κείµενης νοµοθεσίας».
- Σύµφωνα µε το άρθρο 6 του ν. 2472/1997, ο υπεύθυνος επεξεργασ ας οφε λει να γνωστοποιε εγγράφως στην Αρχή τη σύσταση και λειτουργ α αρχε ου ή την έναρξη της επεξεργασ ας (εφόσον δεν εµπ πτει σε κάποια από τις εξαιρέσεις του άρθρου 7Α του ιδ ου νόµου). O υπεύθυνος επεξεργασ ας, σε συνέχεια της υποβολής προς την Αρχή της σύµβασής του µε τη Runner (Γ/ΕΙΣ/6872/18-10-2006), υπέβαλε στην Αρχή την υπ’ αριθ. πρωτ. ΓΝ/ΕΙΣ/799/01-11-2006 γνωστοπο ηση τήρησης αρχε ου προσωπικών δεδοµένων για το σκοπό της προώθησης προϊόντων και υπηρεσιών. Στη γνωστοπο ηση αυτή ο υπεύθυνος επεξεργασ ας δηλώνει ότι η επεξεργασ α γ νεται σύµφωνα µε τους όρους της µε αριθ. 50/201-2000 Απόφασης της Αρχής και ότι οι πηγές των δεδοµένων ε ναι δηµόσια προσιτο κατάλογοι (π.χ. ΟΤΕ). Ακολούθως, ο υπεύθυνος επεξεργασ ας υπέβαλε νέα γνωστοπο ηση µε αριθ. πρωτ. ΓΝ/ΕΙΣ/866/18-07-2011 οµο ως για το σκοπό της προώθησης προϊόντων και υπηρεσιών. Στην τελευτα α αυτή γνωστοπο ηση δηλώνονται, ως πηγές των δεδοµένων, φυσικά ή νοµικά πρόσωπα που συνδέονται άµεσα µε τα υποκε µενα των δεδοµένων, φυσικά ή νοµικά πρόσωπα που συνδέονται άµεσα µε τον υπεύθυνο επεξεργασ ας, ασφαλιστικές εταιρε ες καθώς και λοιπά νοµικά πρόσωπα ιδιωτικού δικα ου (και όχι δηµόσια προσιτο κατάλογοι, π.χ. ΟΤΕ).
- Στη συγκεκριµένη περ πτωση, από τα ευρήµατα των επιτόπιων ελέγχων (βλ. υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4574/08-07-2013 πόρισµα ελέγχου στην HSBC, καθώς και υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4411/01-07-2013 πόρισµα ελέγχου στην ATTP), και την ακρόαση των εκπροσώπων της HSBC και της ATTP, προκύπτει ότι η ως άνω τράπεζα (HSBC) αγόρασε λ στες µε προσωπικά δεδοµένα από τις εταιρε ες Runner και ATTP, για το σκοπό της στοχευµένης προώθησης προϊόντων και υπηρεσιών σε δυνητικούς υποψήφιους πελάτες, που κατά προτ µηση ε χαν υψηλό εισόδηµα (βλ. και τη διαφηµιζόµενη υπηρεσ α HSBC Premier για ευκατάστατους πελάτες, τραπεζικό προϊόν που αναφέρθηκε και από τους εκπροσώπους της Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 10 ATTP, για την προώθηση του οπο ου αγοράστηκε η λ στα από την τελευτα α εταιρε α). Αγορά λ στας προσωπικών δεδοµένων από την εταιρε α ATTP έλαβε χώρα µόνο µ α φορά το 2011, ενώ αντιθέτως η συνεργασ α µε τη Runner ήταν ενεργή κατά το διάστηµα από τα τέλη του 2006 µέχρι τις αρχές του 2012 και ο υπεύθυνος επεξεργασ ας (HSBC) αγόραζε από την τελευτα α εταιρε α, κατά το διάστηµα από το 2007 µέχρι και το 2011, λ στες προσωπικών δεδοµένων σε συνεχή και επαναλαµβανόµενη βάση. Ο συγκεκριµένος σκοπός επεξεργασ ας (προώθηση προϊόντων και υπηρεσιών σε δυνητικούς πελάτες) ε ναι καθορισµένος, σαφής και νόµιµος. Ωστόσο, η αγορά των εν λόγω λιστών έγινε µε βάση συγκεκριµένα κριτήρια ως προς τα πρόσωπα που θα περιέχονται σε αυτές - όπως, για παράδειγµα, κριτήρια εισοδήµατος, ύπαρξης στεγαστικού δανε ου, κατοχής συγκεκριµένων µοντέλων αυτοκινήτων, κτλ. – για τα οπο α οι σχετικές πληροφορ ες δεν µπορούν να προκύψουν από δηµόσια προσβάσιµες πηγές. Σηµειώνεται ότι τούτο σαφώς ήταν εις γνώσιν του υπευθύνου επεξεργασ ας. Μάλιστα και οι διοι οι υπάλληλοι της HSBC επισήµαιναν σε µηνύµατα ηλεκτρονικού ταχυδροµε ου προς την εταιρε α Runner ότι οι πληροφορ ες που ζητούσαν για λογαριασµό της HSBC θα έπρεπε να αναζητηθούν από το εκκαθαριστικό της εφορ ας, ενώ και ο εκπρόσωπος ακόµη του υπευθύνου επεξεργασ ας, ερωτηθε ς κατά τη διαδικασ α ακρόασης, δεν υποστήριξε ότι υπήρχε κάποια νόµιµα προσβάσιµη πηγή, από την οπο α δικαιολογηµένα να π στευαν οι υπάλληλοι της HSBC ότι προέρχονται τα δεδοµένα. Περαιτέρω, επισηµα νεται ότι οι όροι στις σχετικές συµβάσεις του υπευθύνου επεξεργασ ας µε τις εταιρε ες Runner και ATTP περ ευθύνης των τελευτα ων για τη νοµιµότητα λήψης των στοιχε ων, δεν µπορε να άρουν την αντ στοιχη ευθύνη του υπευθύνου επεξεργασ ας αναφορικά µε τη λήψη των στοιχε ων από πλευράς του, διότι ζήτησε και αγόρασε λ στες βάσει συγκεκριµένων κριτηρ ων που έθετε ο διος και τα οπο α κατά κανόνα προϋποθέτουν - προκειµένου να δηµιουργηθε η σχετική λ στα στοιχε ων - τη δυνατότητα µη εξουσιοδοτηµένης πρόσβασης σε βάσεις προσωπικών δεδοµένων (κριτήριο αυτού του ε δους αποτελε , όπως προαναφέρθηκε, το ετήσιο εισόδηµα, το οπο ο µάλιστα εµφαν ζεται στη λ στα που ο υπεύθυνος επεξεργασ ας αγόρασε από την ATTP). Σηµειώνεται επ σης ότι, µε βάση τα ευρήµατα του ελέγχου, προκύπτει ότι για τις λ στες που έλαβε ο υπεύθυνος επεξεργασ ας, υπήρξε και κάποιου ε δους πρόσβαση στη βάση δεδοµένων του Τειρεσ α, πιθανότατα από τον υπεύθυνο επεξεργασ ας που, ως τράπεζα, έχει πρόσβαση στη βάση του Τειρεσ α για τους σκοπούς που καταρχάς ορ ζουν οι µε αριθ. 24 και 25/2004 Αποφάσεις της Αρχής (ΦΕΚ Β΄/684/11-5-2004), σε καµ α όµως περ πτωση για τον σκοπό της άµεσης προώθησης προϊόντων ή υπηρεσιών, χωρ ς α τηση του ενδιαφεροµένου Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 11 για κατάρτιση σύµβασης (π.χ. δανε ου) µε την τράπεζα ή ενεργή σύµβαση (βλ. και άρθρο 40 του ν. 3259/2004, όπως τροποποιήθηκε και ισχύει). Επισηµα νεται ότι, παρόλο που ο εκπρόσωπος του υπευθύνου επεξεργασ ας ερωτήθηκε κατά την ακρόαση για την πρόσβαση στον Τειρεσ α, δεν παρέσχε απάντηση ούτε προφορική ούτε µε το υποβληθέν έγγραφο υπόµνηµά του. Εξάλλου, κατά την ακρόαση τέθηκε γενικότερα το ερώτηµα περ της ακριβούς διαδικασ ας που ακολουθε το για την επεξεργασ α και εκκαθάριση των λιστών, ωστόσο ο υπεύθυνος επεξεργασ ας δεν απάντησε ούτε κατά την ακρόαση ούτε µε το έγγραφο υπόµνηµά του. Επ σης, σηµειώνεται ότι απάντηση δεν δόθηκε και σε συµπληρωµατική διευκρ νιση που ζητήθηκε αναφορικά µε το ακριβές ε δος µηνυµάτων ηλεκτρονικού ταχυδροµε ου που τηρούνται στην Αγγλ α (το ερώτηµα αυτό τέθηκε σε σχέση µε το γεγονός ότι το πλήθος µηνυµάτων που υποβλήθηκαν στην Αρχή µε το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/7961/11-12-2012 έγγραφο (ψηφιακό δ σκο) ήταν πολύ µικρό, σε συνδυασµό και µε τη σχετική, µη πειστική κατά την εκτ µηση της Αρχής, δικαιολόγηση της εταιρε ας µε το υπ’ αριθ. πρωτ. Γ/ΕΙΣ/1455/27-02-2013 έγγραφο). Από όλα τα στοιχε α του φακέλου (βλ., ιδ ως, τα ευρήµατα του ελέγχου ως προς το ε δος των δεδοµένων που περιε χαν οι επ µαχες λ στες, το περιεχόµενο των σχετικών ηλεκτρονικών µηνυµάτων µεταξύ της HSBC και των εταιρειών Runner και ATTP, και το αναφερθέν παράπονο που διατύπωσε προς την HSBC παραλήπτης διαφηµιστικού µηνύµατος της τελευτα ας), προκύπτει σαφώς ότι δεν ε χε ληφθε η συγκατάθεση των υποκειµένων των δεδοµένων για την εν λόγω συλλογή δεδοµένων, τα δεδοµένα δεν ελήφθησαν από πηγές δηµόσια προσβάσιµες που προορ ζονται για την παροχή πληροφοριών στο ευρύ κοινό ούτε τα δια τα υποκε µενα ε χαν δηµοσιοποιήσει τα δεδοµένα τους για συναφε ς σκοπούς, και αυτά ήταν εις γνώσιν του υπευθύνου επεξεργασ ας. Περαιτέρω, προκύπτει ότι ο υπεύθυνος επεξεργασ ας αγόρασε, τήρησε σε αρχε ο και επεξεργάστηκε για δικούς του οικονοµικούς σκοπούς λ στες µε παρανόµως συλλεχθέντα προσωπικά δεδοµένα και παραβ ασε τις διατάξεις του άρθρου 4 για τη νοµιµότητα κάθε συλλογής δεδοµένων προσωπικού χαρακτήρα, καθώς επ σης και τις διατάξεις του άρθρου 5 του ν. 2472/
- Η επικοινων α, για σκοπούς προώθησης προϊόντων και υπηρεσιών, µε τα πρόσωπα των οπο ων τα στοιχε α υπήρχαν στις ως άνω λ στες γινόταν (βλ. τα ευρήµατα του ελέγχου) ε τε µέσω τηλεφώνου ε τε µέσω ταχυδροµικής επιστολής. Σηµειώνεται τέλος ότι ο υπεύθυνος επεξεργασ ας για όσο διάστηµα ήταν σε ισχύ ο ν. 3471/2006 πριν την τροποπο ησή του από το ν. 3917/2011 ε χε την υποχρέωση λήψης συγκατάθεσης των υποκειµένων των δεδοµένων Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 12 για να ενεργε τηλεφωνικές κλήσεις.
- Ενόψει της βαρύτητας της παράβασης που διαπιστώθηκε, του πλήθους των προσώπων στα οπο α αφορούσαν τα δεδοµένα που συνελέγησαν, του ε δους αυτών, καθώς και του γεγονότος ότι ο υπεύθυνος επεξεργασ ας σκοπούσε µε τις ανωτέρω ενέργειες οπωσδήποτε να αποκοµ σει κέρδος, η Αρχή κρ νει οµόφωνα ότι πρέπει να επιβληθε στον υπεύθυνο επεξεργασ ας η προβλεπόµενη στο άρθρο 21 παρ. 1 στοιχ. β΄ του ν. 2472/1997 κύρωση που αναφέρεται στο διατακτικό της παρούσας και η οπο α κρ νεται ανάλογη µε τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: 1) Επιβάλλει, µε βάση τα άρθρα 19 παρ. 1 στοιχ. στ΄ και 21 του ν. 2472/1997, στην Τράπεζα HSBC BANK PLC Ελλάδος πρόστιµο εβδοµήντα πέντε χιλιάδων (75.000) Ευρώ για την ως άνω διαπιστωθε σα παραβ αση των διατάξεων των άρθρων 4 και 5 του ν. 2472/1997, καθώς επ σης και καταστροφή κάθε σχετικής λ στας µε προσωπικά δεδοµένα που συλλέχτηκε µε τον τρόπο που αναφέρεται στο σκεπτικό της παρούσας κατά παραβ αση των ως άνω άρθρων, µε ακόλουθη ενηµέρωση της Αρχής. 2) Απευθύνει, µε βάση το άρθρο 19 παρ. 1 στοιχ. γ΄ του ν. 2472/1997, σύσταση στην Τράπεζα HSBC BANK PLC Ελλάδος να συµµορφώνεται, αναφορικά µε την προώθηση προϊόντων και υπηρεσιών, σε όσα προβλέπονται στο άρθρο 11 του ν. 3471/2006, όπως τροποποιήθηκε και ισχύει, και στις σχετικές Κανονιστικές Πράξεις και Οδηγ ες της Αρχής. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Μελποµένη Γιαννάκη Λ. Κηφισ ας 1-3, 11523 Αθήνα, Τηλ: 210 6475600, Fax: 210 6475628, contact@dpa.gr / www.dpa.gr 13